Securiscan

Securiscan

Securiscan 是一个健壮、轻量级且基于原生标准库的安全分类排查引擎，完全使用 Python 标准内置模块构建，用于分析 Web 应用程序、API、LLM 和移动软件包 中的漏洞。

🚀 核心执行模式

1. 被动外部检查（默认最安全模式）

执行原生只读标准库 GET 请求，以分析服务器 Cookie、会话配置和缺失的标头矩阵（CSP、HSTS、X-Frame-Options），而不发送攻击载荷。

python securiscan.py -w "https://example.com"

2. 显式主动金丝雀探测（仅限授权范围）

发送有针对性的良性载荷，以评估输入反射（XSS、SSTI、SQLi）和路径遍历边界。如果指向私有子网或回环地址且未附带授权标志，此标志将故障关闭。

# Scan a verified public asset
python securiscan.py -w "https://example.com" --active

# Scan an authorized internal lab network
python securiscan.py -w "http://10.0.1" --active --allow-private-target "10.0.1.45"

3. 静态气隙代码诊断

100% 离线分析目录、依赖文件或配置上下文。

python securiscan.py -w ./source_code_dir --no-fetch --pdf triage_output.pdf

📋 发现策略验证状态

• POTENTIAL（潜在）： 通过静态文本模式发现的启发式候选匹配。需要人工上下文检查。
• OBSERVED（已观察）： 在实时标头或服务器对象上确认的直接结构性配置异常。
• CONFIRMED（已确认）： 通过基线感知的金丝雀载荷评估主动复现的漏洞。